セッショントークン.

認証後に発行される不透明な識別子。クライアントが各リクエストで送り返し、サーバーはそれをキーにユーザーのセッション状態を引き当てる。 サイバーセキュリティの ID とアクセス カテゴリに属します。

認証後に発行される不透明な識別子。クライアントが各リクエストで送り返し、サーバーはそれをキーにユーザーのセッション状態を引き当てる。

セッショントークンは、HTTP リクエストをまたいでユーザーのログイン状態を維持する資格情報です。多くの場合、暗号学的にランダムな文字列をサーバー側(DB、キャッシュ、署名付き Cookie)で保管し、Secure・HttpOnly・SameSite 付きの Cookie としてブラウザに送ります。サーバーはこれをキーとしてユーザー ID やロール、メタデータを保持するセッションストアを参照します。良いセッショントークンは高エントロピーで、ログイン時や権限昇格時に再生成され、アイドルと絶対の両方のタイムアウトを持ち、ログアウト時にサーバー側で無効化されます。代表的な攻撃はセッションフィクセーション、ハイジャック、推測可能 ID、ログアウト未実装です。

セッショントークン に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。